Comprendre le score de conformité pondéré (L1/L2)
Un score de conformité n'est utile que si l'on sait ce qu'il mesure. Un ratio brut « X contrôles sur Y » traite à égalité un contrôle critique et un réglage cosmétique. Les deux outils GUARD pondèrent chaque résultat par la criticité — et l'équilibre entre les niveaux dit quelque chose de chaque périmètre.
Le problème du ratio simple
Imaginez deux organisations qui obtiennent toutes les deux 212 contrôles conformes sur 300 évalués — les mêmes 71 %. Dans la première, les écarts sont des points de durcissement de niveau 2. Dans la seconde, ils incluent une authentification héritée non bloquée, un compte de service dans les administrateurs du domaine et un compte de stockage ouvert sur Internet. Un ratio plat annonce 71 % dans les deux cas. C'est trompeur, et c'est difficile à défendre.
La pondération par criticité
Les deux outils GUARD classent chaque contrôle par niveau et le pondèrent en conséquence :
- Niveau 1 (fondamental) — les contrôles qui portent sur le risque de premier ordre. Pondérés 3×.
- Niveau 2 (renforcement) — les mesures de défense en profondeur, à arbitrer selon le contexte et le coût. Pondérées 1×.
Un avertissement — résultat indéterminé, choix d'architecture, situation que l'audit n'a pas pu confirmer complètement — compte pour la moitié du poids plutôt que comme une réussite ou un échec net. Les contrôles en erreur ou non évalués sont exclus du calcul : ni au numérateur, ni au dénominateur. On ne conclut pas sur ce qu'on n'a pas pu lire.
Pourquoi 3× ? Le multiplicateur encode une vérité simple : un seul contrôle fondamental en échec vous expose généralement davantage que plusieurs contrôles de renforcement. Le score doit baisser en conséquence.
La même arithmétique, deux équilibres différents
La formule est identique sur les deux outils, mais la répartition entre les niveaux ne l'est pas — et cela dit quelque chose de chaque périmètre.
| Référentiel | Niveau 1 | Niveau 2 | Ce que cela signifie |
|---|---|---|---|
| Entra ID & M365 | 165 | 153 | Équilibré : l'essentiel du durcissement identitaire ne coûte rien à appliquer |
| Active Directory | 96 | 80 | Le niveau 1 domine : sur un annuaire, les fondamentaux sont le risque |
Score global et ventilation
Chaque outil restitue un score global et une ventilation — par source sur Entra ID & M365, par catégorie sur Active Directory. Cela compte, parce qu'un 70 % global peut masquer une catégorie à 20 %. La ventilation est triée du plus faible au plus fort : la première ligne est l'endroit où porter l'effort.
Ce que le score ne dit pas
Un score pondéré est comparable à lui-même dans le temps, pas à un autre parc. Un périmètre restreint obtient mécaniquement un meilleur score, parce que beaucoup de contrôles remontent conformes « sans objet » — un domaine sans AD CS réussit tous les contrôles sur les modèles de certificats. Ce n'est pas un défaut de la méthode : un risque absent est un risque absent. Mais c'est pourquoi on compare un parc à lui-même, et pourquoi le niveau de maturité ANSSI et l'image de l'exposition doivent être présentés avant le pourcentage.
Un chiffre défendable
Parce que la pondération est explicite et documentée, le score est de ceux qu'on peut poser devant un comité de direction, un assureur cyber ou un auditeur ISO, et expliquer. Ce n'est pas un « pourcentage de cases cochées » — c'est une mesure de posture pondérée par le risque, avec une méthode derrière.
Le regarder progresser
La même pondération rend la progression significative. Quand on corrige d'abord les fondamentaux, le score grimpe plus vite que si l'on avait soldé des points mineurs — c'est exactement le comportement à encourager. Comparer deux audits dans le temps transforme le travail de remédiation en tendance mesurable, à condition de rejouer la même baseline sur le même périmètre.